Audit de identitate

1) Scopul și rezultatul

Scopul: de a asigura respectarea dovedită a principiilor Zero Trust și cele mai puține privilegii prin verificarea periodică a celor care au acces unde și de ce.
Rezultat: un registru complet și actualizat al identităților și drepturilor cu proprietarii confirmați, eliminat accesul „înghețat”, o bază de probe formalizată pentru controlul intern și autoritățile de reglementare.

2) Domeniul de aplicare

Utilizatori interni: personal, stagiari, supraveghetori, roluri temporare.
Contractori/parteneri: studiouri de jocuri, furnizori PSP/KYC/AML, afiliați.
Identități de serviciu: roboți, CI/CD, integrări, chei și jetoane API.
Roluri privilegiate: administratori de infrastructură/baze de date, Plăți, Risc, Tranzacționare.
Jucători (în contextul KYC): corectitudinea pachetului de conturi ↔ profilul KYC ↔ statusurile RG/AML (procese de verificare, nu conținut document).

3) Termeni și principii

Identitate: o entitate unică (persoană/serviciu) cu atribute.
Dreptul: un drept/rol specific pentru o resursă.
JML: Joiner → Mover → Leaver - ciclul de viață al identității.
SoD: segregarea taxelor pentru operațiunile cu risc ridicat.
Cel mai puțin Privilege & Just-in-Time (JIT): set minim de drepturi acordate pentru o perioadă limitată de timp.
Responsabilitate: fiecare identitate are un proprietar, fiecare drept are un caz de afaceri și un termen.

4) Sursele de adevăr și modelul de date

Sistemul HRIS/HR: sursa primara a statutului angajatilor (inchiriere/mutare/iesire).
IdP/SSO: punct unic de autentificare (MFA/FIDO2), federație.
IAM/IGA: Catalogul rolurilor, politicilor și proceselor de recertificare.
CMDB/catalog de servicii: proprietatea asupra sistemelor și buclelor de acces.
Platforme furnizor: PSP/KYC/CDN/WAF/furnizori de jocuri - portaluri de acces extern.
: Identity (aparține) Org Unit/Team (has) Roluri (extinde prin ABAC).

5) Controale auditate

1. SSO și MFA peste tot (fără conturi locale și conturi partajate).
2. RBAC/ABAC/PBAC: drepturi descrise de politici (policy-as-code), roluri - tipice și coerente.
3. SoD: rolurile incompatibile și excepțiile sunt formalizate.
4. JIT/PAM: promoții temporare cu bilet, înregistrare sesiune și auto-rechemare.
5. Secretele/Cheile: Stocate în Secrets Manager, cu rotație și vieți.
6. Jurnalele și probabilitatea: tamper-dovezi, urmărirea coerentă cine/ce/unde/când/de ce.
7. Acces la date: mascare PII, export - numai prin fluxul de lucru cu criptare și TTL.

6) Procesul de audit (end-to-end)

1. Preparare: înghețarea unui instantaneu al drepturilor (instantaneu al drepturilor) după sistem; Descărcați de la IdP/IAM/furnizori

2. Normalizare: cartografierea rolurilor într-un director, eliminarea duplicatelor, gruparea pe proprietarii de resurse.
3. Categorizarea riscurilor: P1/P2 (privilegiat și sensibil) → verificarea priorităților.
4. Recertificarea drepturilor: proprietarii de sisteme confirmă/resping drepturile (campanii de revizuire a accesului).
5. Verificarea SoD pentru incompatibilități și excepții temporare (cu data expirării).
6. Reconcilierea JML: cartografierea închirierii/mutării/ieșirii în drepturi reale (inclusiv portaluri externe).
7. Conturi de servicii: disponibilitatea proprietarului, jetoane de scurtă durată, fără „god-scope”.
8. Baza de probe: formarea unui pachet de artefacte (rapoarte, încărcări, acte).
9. Plan de remediere: bilete pentru rechemare/corecție, termene limită și persoane responsabile.
10. Raport final: starea riscului, KPI-urile ciclului, lecțiile învățate și îmbunătățirile politicilor.

7) Contururi JML (pe care le verificăm mai adânc)

Joiner: atribuirea automată a rolurilor de bază, interzicerea „adăugărilor” manuale în afara directorului.
Mover: schimbarea comenzii/locației → înlocuirea automată a rolurilor, revocarea vechilor privilegii.
Leaver: revocarea tuturor drepturilor în decurs de X minute/ore, închiderea portalurilor poștale/VPN/furnizor, dezactivarea cheilor și a tokenurilor.

8) Dependențe și portaluri externe

PSP/KYC/AML/CDN/WAF/furnizori de jocuri: fiecare cont are un proprietar, un obiectiv, un termen limită, un MFA, o interdicție asupra conturilor partajate.
SoD/SLA contractual: disponibilitatea controlului dual pentru operațiunile P1 (schimbarea rutării plăților, limitele bonusului etc.).
Reconciliere regulată: înregistrarea portalurilor externe ↔ lista utilizatorilor actuali ↔ rezultatele recertificării.

9) Caracteristici ale domeniului iGaming

Plăți și riscuri: selectați sucursalele SoD; actualizări privind modificările limitelor/rutării; auditul ajustărilor manuale.
Tranzacționare/factori: cutii de nisip pentru modelare, roluri individuale de publicare, rollback rapid; schimbare jurnal.
Joc responsabil/KYC/PII: control strict al exporturilor, mascarea în BI, prelucrarea SLA a cererilor autorităților de reglementare.
Afiliați și streameri: portaluri limitate cu capacități de raportare fără acces la PII.

10) Politici ca cod (PaC)

Politici în depozit (Rego/YAML), revizuire PR, teste.
Contextul dinamic în permite/nega soluții: mediu (prod), timp, locație, criticalitatea operațiunii, semnale KRI (de exemplu, valul de acțiuni sensibile).
Obligatoriu obligatoriu pentru bilet și scopul pentru promoțiile JIT.

11) Jurnale și probabilitate

Lanț de evenimente: consola admin/IdP → API → baze de date → furnizori externi.
Tamper-evident: WORM/depozite imuabile, semnătura înregistrărilor, TTL strict.
Căutare și răspuns: SLA de răspuns la solicitările interne/externe (audit, regulator, bancă/partener).

12) Valori și KPI/KRI

• Ponderea drepturilor confirmate la timp (recertificare),% din campaniile restante.
• Timp de la concediere până la revocarea completă a drepturilor (MTTR-leavever).
• Cota de incremente JIT vs privilegii persistente.
• Numărul de conflicte SoD rezolvate pe ciclu.
• Integralitatea sistemelor acoperite și a portalurilor externe.

• Adeziuni de acțiune sensibile (export PII, modificări PSP).
• Drepturi neutilizate> Zilele N.
• Spargeţi geamul fără audit.
• Conturi fără proprietar/scop/termen.

13) Foaie de parcurs de implementare (8-12 săptămâni)

Ned. 1-2: inventarul identităților și sistemelor (inclusiv portalurile externe), catalogul de roluri și matricea SoD.
Ned. 3-4: conexiune SSO/MFA peste tot, o singură colecție de drepturi, primele rapoarte instantanee.
Ned. 5-6: lansarea campaniilor de recertificare IGA (prioritate P1/P2), rechemare automată pentru Leaver.
Ned. 7-8: JIT/PAM pentru circuite de producție, sesiuni de înregistrare, interzicerea conturilor partajate de la furnizori.
Ned. 9-10: PaC: formalizarea politicilor cheie (export PII, rutare PSP, versiuni), teste unitare de politici.
Ned. 11-12: tablouri de bord KPI/KRI, regulamente de ciclu trimestrial, raportare pentru autoritățile de conformitate/reglementare.

14) Modele artefact

Catalog de roluri: rol, descriere, privilegii minime, proprietar, aplicabilitate (chiriaș/regiune/mediu).
SoD Matrix - roluri/operațiuni incompatibile, excepții, termen de excepție și proprietar de excepție.
Access Review Pack: fișă de confirmare a drepturilor, comentarii, rezultat (aprobare/revocare/atenuare).
Cont de service Înregistrare: scop, proprietar, durata de viață, scopuri, locația de stocare a secretelor, programul de rotație.
Inventarul portalurilor externe: sistem, contacte, lista de utilizatori, MFA, ultima dată de recertificare.
Lista de verificare a dovezilor: ce încarcă/busteni și în ce format să stocați pentru audit.

15) Antipattern

Conturi generale și „admin pentru totdeauna”.
Eliberarea manuală a drepturilor ocolind IdP/IGA.
Nu există toleranță la SoD sau „excepții temporare” fără o dată de expirare.
Jetoane de serviciu fără rotație/proprietar.
Exportați PII „prin literă” fără flux de lucru și criptare.
Nu există audit al portalurilor externe (PSP/KYC/furnizori de jocuri).

16) Constatări frecvente de audit și corecție rapidă

Acces înghețat de la concediați/contractori: activați feedback automat cu privire la evenimentele de HR (Leaver).
Roluri redundante: descompuneți în roluri mai mici și legați atributele ABAC.
Conturi partajate cu furnizorii: migrarea la MFA + personal, emiterea de roluri temporare pentru sarcini rare.
Secrete de lungă durată: trecerea la jetoane/certificate de scurtă durată și rotația planificată.

17) Grupul de gestionare a incidentelor

Orice incident cu componenta de acces → actualizarea obligatorie a registrului de riscuri și politici, recertificarea punctelor rolurilor afectate, post-mortem cu elemente de acțiune (și termene limită).

Total

Auditul identității este un ciclu repetabil, automatizat: un registru complet al identităților și drepturilor → recertificarea orientată spre risc → politicile hard JML și JIT/PAM → ca cod și auditul dovedibil → îmbunătăți rezultatele ciclului. Această buclă reduce probabilitatea de abuz și erori, accelerează investigațiile, consolidează conformitatea și protejează operațiunile de afaceri cheie ale platformelor iGaming.